搜索

[27118] 2020-12-18_Windows域关系学习全攻略

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-12-18_Windows域关系学习全攻略 ​ W i n d o w s 域 关 系 学 习   全 攻 略 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 1 2 - 1 8 收 录 于 话 题   # 内 网 安 全 小 组   , 2 8 个 本 文 作 者 ： 掉 到 鱼 缸 里 的 猫 掉 到 鱼 缸 里 的 猫 （ M s 0 8 0 6 7 内 网 安 全 小 组 成 员 ） 掉 到 鱼 缸 里 的 猫 微 信 （ 欢 迎 骚 扰 交 流 ） ： 说 明 说 明 ： 本 文 仅 在 W i n d o w s   S e r v e r   2 0 1 6   R 2 上 进 行 测 试 ， 不 保 证 其 他 版 本 环 境 下 结 果 一 致 。 W i n d o w s   域 关 系 学 习 域 关 系 学 习 1 .   基 本 概 念 2 .   林 中 的 信 任 关 系 2 . 1   父 子 域 2 . 2   林 中 树 之 间 3 .   不 同 林 中 的 信 任 关 系 3 . 1   外 部 信 任 3 . 1 . 1   两 个 林 根 域 之 间                 单 向 外 传 信 任                 单 向 内 传 信 任 3 . 1 . 2   外 部 域 和 子 域 之 间 3 . 1 . 3   外 部 域 与 林 中 树 4 .   林 信 任 5 .   总 结 6 .   在 其 他 主 机 中 使 用 d s q u e r y 1 .   基 本 概 念 基 本 概 念         1 . 域 域 是 W i n d o w s 网 络 操 作 系 统 的 安 全 边 界 ， 域 内 主 机 各 种 策 略 由 域 控 制 器 统 一 设 定 ， 域 中 所 有 主 机 共 享 一 个 集 中 式 的 目 录 数 据 目 录 数 据 库 库 ， 包 含 着 整 个 域 内 的 对 象 。 父 域 和 子 域 之 间 构 成 域 树 域 树 ， 多 个 域 树 构 成 域 林 域 林 ， 林 中 的 第 一 个 被 创 建 的 域 ， 作 为 该 林 的 根 域 。 W i n d o w s   N T 中 ， 名 称 空 间 是 平 行 的 ， 尽 管 可 以 将 N T 域 配 置 为 彼 此 信 任 ， 但 每 个 域 都 是 一 个 完 全 独 立 的 实 体 。         目 录 林 根 级 域 包 含   E n t e r p r i s e   A d m i n s   和   S c h e m a   A d m i n s   组 。 这 些 服 务 管 理 员 组 用 于 管 理 林 级 操 作 ， 例 如 添 加 和 删 除 域 以 及 实 现 架 构 更 改 。
2 .   信 任 方 向 ： 信 任 方 向 ： A .   内 传 内 传 （ 内 向 信 任 ， D i r e c t   I n b o u n d ） ： 信 任 此 域 的 域 ， 这 个 域 （ 当 前 域 ） 中 的 用 户 ， 可 以 在 指 定 域 、 领 域 或 林 中 得 到 身 份 验 证 。 B .   外 传 外 传 （ 外 向 信 任 ， D i r e c t   O u t b o u n d ） ： 受 此 域 信 任 的 域 ， 指 定 的 域 、 领 域 或 林 中 的 用 户 可 以 在 这 个 域 中 得 到 身 份 验 证 。 C .   双 向 双 向 ： 内 传   +   外 传 3 .   信 任 传 递 信 任 传 递 ： 企 业 内 部 来 自 间 接 信 任 域 的 用 户 可 以 在 信 任 域 中 进 行 身 份 验 证 。 4 .   信 任 类 型 信 任 类 型 ： A .   外 部 信 任 外 部 信 任 ： 林 外 部 的 两 个 域 之 间 的 不 可 传 递 的 不 可 传 递 的 信 任 。 B .   林 信 任 林 信 任 ： 两 个 林 之 间 的 可 传 递 信 任 ， 允 许 一 个 林 中 的 任 何 域 中 用 户 在 另 一 个 林 中 的 任 何 域 收 到 身 份 验 证 。 只 有 林 的 根 域 林 的 根 域 之 间 才 可 以 使 用 这 个 选 项 。 5 .   身 份 验 证 级 别 身 份 验 证 级 别 ： A .   全 域 性 身 份 验 证 全 域 性 身 份 验 证 ： w i n d o w s 将 自 动 对 指 定 域 用 户 使 用 本 地 域 的 所 有 资 源 进 行 身 份 验 证 ， 在 默   认 情 况 下 可 以 进 行 I P C 连 接 。 B .   选 择 性 身 份 验 证 选 择 性 身 份 验 证 ： w i n d o w s 将 不 会 自 动 对 指 定 域 的 用 户 使 用 本 地 域 的 任 何 资 源 进 行 身 份 验 证 ， 需 要 由 管 理 员 向 指 定 域 用 户 授 予 每 个 服 务 器 的 访 问 权 。 这 样 一 来 ， 域 之 间 的 相 互 信 任 关 系 就 可 以 大 致 分 为 三 类 ： 林 中 父 子 域 、 林 中 树 和 树 、 不 同 林 的 域 之 间 的 信 任 关 系 。 2 .   林 中 的 信 任 关 系 林 中 的 信 任 关 系 2 . 1   父 子 域 父 子 域 实 验 环 境 ：         d c 1 ： 创 建 域   l a b 1 . l o c a l   ， 作 为 父 域 ， 同 时 也 是 该 林 的 根 。         d c 2 ： 作 为 子 域   s u b . l a b 1 . l o c a l   加 入 父 域   l a b 1 . l o c a l 加 入 域 之 前 ， d c 2 是 无 法 查 询 到 域 中 的 任 何 信 息 加 入 域 （ 查 询 目 标 域 ， 可 以 使 用 域 用 户 ， 但 是 加 入 域 的 时 候 需 要 使 用 域 管 理 员 用 户 域 管 理 员 用 户 的 凭 据 ）
加 入 域 之 后 可 以 查 询 到 信 任 关 系 如 下 ： 可 以 查 询 另 外 的 域 中 的 信 息 ， 并 且 两 个 域 之 间 的 身 份 凭 据 是 相 互 认 可 的 。 但 是 在 没 有 分 配 权 限 时 ， 是 没 有 权 限 访 问 远 程 目 录 的 ； 同 时 父 域 用 户 因 为 未 在 子 域 中 登 记 ， 所 以 无 法 通 过 认 证 。
但 是 父 域 的 域 管 用 户 域 管 用 户 可 以 访 问 子 域 的 资 源 ， 而 子 域 的 域 管 用 户 域 管 用 户 没 有 父 域 的 权 限 。 2 . 2   林 中 树 之 间 林 中 树 之 间 实 验 环 境 ：         d c 1 ： 创 建 域   l a b 1 . l o c a l         d c 2 ： 作 为 子 域   s u b . l a b 1 . l o c a l   加 入 父 域   l a b 1 . l o c a l         d c 3 ： 作 为 林 中 的 另 一 个 树   l a b 3 . l o c a l 信 任 情 况 如 下 ： 可 以 看 到 ，   l a b 1 . l o c a l   和   l a b 3 . l o c a l   之 间 存 在 双 向 信 任 ， 但 是   l a b 3 . l o c a l   和 s u b . l a b 1 . l o c a l   之 间 没 有 方 向 记 录 。
此 时   l a b 3 . l o c a l   域 中 用 户 可 以 查 询 同 林   l a b 1 . l o c a l   以 及 其 子 域   s u b . l a b 1 . l o c a l   的 信 息 ， 用 户 凭 据 也 可 得 到 认 证 。 此 时 林 根 的 域 管 用 户 林 根 的 域 管 用 户 可 以 访 问   l a b 3 . l o c a l   的 资 源 ， 但 是   l a b 3 . l o c a l   的 域 管 用 户 没 有 其 他 资 源 的 权 限 。
查 询 林 根 域 的 方 法 ： 1 .   p o w e r s h e l l ： 2 .   v b s ： 3 .   不 同 林 中 的 信 任 关 系 不 同 林 中 的 信 任 关 系 实 验 环 境 ：         d c 1 ： 创 建 域   l a b 1 . l o c a l         d c 2 ： 创 建 子 域   s u b . l a b 1 . l o c a l         d c 3 ： 创 建 域 树   l a b 3 . l o c a l         d c 4 ： 创 建 域   l a b 4 . l o c a l 3 . 1   外 部 信 任 外 部 信 任 3 . 1 . 1   两 个 林 根 域 之 间 两 个 林 根 域 之 间 单 向 外 传 信 任 单 向 外 传 信 任 使 用 全 域 性 身 份 验 证 时 ， 信 任 查 询 如 下 ： 对 于 l a b 4 是 传 出 ， 则 对 于 l a b 1 就 是 传 入 。 G e t - A D R o o t D S E | s e l e c t   r o o t D o m a i n N a m i n g C o n t e x t S e t   o b j R o o t D S E   =   G e t O b j e c t ( " L D A P : / / R o o t D S E " ) W s c r i p t . E c h o   " R o o t   D o m a i n :   "   & o b j R o o t D S E . G e t ( " R o o t D o m a i n N a m i n g C o n t e x t " )
l a b 1   的 用 户 身 份 在   l a b 4   中 可 以 得 到 有 效 认 证 ， 但 是 在 未 授 权 的 情 况 下 无 法 访 问 资 源 ： 而 子 域   s u b . l a b 1 . l o c a l   和 同 林 树 域   l a b 3   中 的 用 户 无 法 在   l a b 4   中 得 到 认 证 。 使 用 选 择 性 身 份 认 证 时 ， 当 不 进 行 任 何 配 置 时 ， l a b 1 的 用 户 无 法 通 过 l a b 4 的 认 证 ： 单 向 内 传 信 任 单 向 内 传 信 任 信 任 关 系 查 询
选 择 性 身 份 验 证 时 ， l a b 4 的 用 户 无 法 进 行 身 份 验 证 。 修 改 为 全 域 认 证 后 ， 可 以 访 问   l a b 1   ， 但 是 无 法 访 问 子 域 和 同 林 域 。 3 . 1 . 2   外 部 域 和 子 域 之 间 外 部 域 和 子 域 之 间 单 向 外 传 信 任 时 单 向 外 传 信 任 时 ， 信 任 关 系 查 询 结 果 ：
这 里 虽 然 通 过 命 令 无 法 查 询 到 ， 但 是 直 接 查 看 子 域 的 信 任 关 系 属 性 ， 是 可 以 看 到 的 ： 仅   l a b 4   可 以 查 询   s u b   ，   l a b 1   、   l a b 3   均 无 法 查 询 ： 修 改 为 双 向 之 后 修 改 为 双 向 之 后 ， 仅   s u b   、   l a b 4   之 间 可 以 互 相 认 证 ，   l a b 3   、   l a b 1   与   l a b 4   之 间 均 无 法 查 询 ：
3 . 1 . 3   外 部 域 与 林 中 树 外 部 域 与 林 中 树 仅 在   l a b 3   和   l a b 4   之 间 可 以 查 询 到 信 任 关 系 ， 同 样 通 过 可 视 化 工 具 可 以 在 其 他 域 控 （ 比 如   d c 2   ） 上 查 询 到   l a b 3   和   l a b 4   之 间 的 信 任 记 录 ， 此 时 ，   l a b 3   和   l a b 4   之 间 可 以 完 成 用 户 的 认 证 ，   l a b 1   、   s u b   与 l a b 4   之 间 无 法 完 成 。 4 .   林 信 任 林 信 任 林 根 域 和 其 他 林 的 子 域 、 树 根 域 之 间 只 能 外 部 信 任 林 根 域 和 其 他 林 的 子 域 、 树 根 域 之 间 只 能 外 部 信 任 添 加 林 之 间 的 信 任 时 会 提 示 目 标 林 中 的 其 他 名 称 后 缀 情 况 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理